Índice del artículo
En 30 segundos
Una clave de API es una credencial secreta con la que un programa se identifica ante un servicio y utiliza los permisos asociados.
En una API de inteligencia artificial de pago, quien obtiene la clave puede generar consumo en tu cuenta. Decide qué acceso necesita cada programa y quién responde por él.
Un distribuidor conecta su catálogo
Ejemplo ilustrativo: un distribuidor de material de oficina de Zaragoza quiere preparar descripciones a partir de las fichas del fabricante. Su responsable técnico configura n8n, una herramienta que conecta aplicaciones mediante secuencias de pasos, llamadas flujos. La conexión envía los textos seleccionados a un servicio de inteligencia artificial (IA) y recibe borradores. La clave identifica esas peticiones ante el proveedor; el responsable del catálogo revisa medidas, compatibilidades y afirmaciones antes de publicar.
El acceso técnico al modelo, el motor que genera el texto, no equivale a tu aprobación para publicar. El flujo no debe inventar certificaciones ni usar esa clave para acceder a otras aplicaciones.
Como una llave de almacén
- Eliges las puertas
- Entregas la llave
- Anulas el acceso
La copia puede pasar inadvertida. Imagina una llave del almacén: eliges qué puertas abre y quién la conserva. Una clave también se puede copiar, pero no necesitas recuperar cada copia para anularla: revocar la credencial impide que siga dando acceso. El uso puede quedar registrado; no debes interpretar la ausencia de un aviso como prueba de que nadie la tiene.
No lo confundas con
La API
La API es la interfaz: las reglas con las que un programa solicita algo a otro. La clave identifica a quien pide acceso. Puedes ampliar la diferencia en qué es una API.
El token de texto
El token mide contenido: una unidad con la que se cuenta el texto procesado. La clave autoriza el acceso. Un token de acceso sí es una credencial; sus permisos y vigencia dependen del servicio.
Tu contraseña
La contraseña personal te permite entrar en tu cuenta. La clave la presenta un programa al conectarse. No la uses como sustituto de tus datos de inicio de sesión ni supongas que sirve para otro proveedor.
Qué acceso estás entregando
Los permisos tienen alcance. Una clave no concede necesariamente acceso a toda la cuenta: depende de su titular y de las restricciones configuradas. Pide a quien monta la conexión que concrete qué operaciones permite y por qué las necesita. Que una aplicación acepte una clave no demuestra que debas darle todos los permisos. Tampoco conviene ampliarlos por completo para resolver un error cuyo origen todavía desconoces.
Separa las aplicaciones que utilizan el servicio. La documentación de OpenAI recomienda identidades de máquina separadas: cuentas para programas, distintas de las de los empleados. Así puedes relacionar cada acceso con su función y su responsable. Antes de entregar una credencial a otra herramienta, aclara para qué la guardará y quién podrá utilizarla. «Se conecta por API» describe el método de conexión; por sí solo no demuestra que esa custodia sea segura.
Dónde guardarla y dónde no
En el servidor
Fuera del código. Guarda la clave en el servidor, el equipo que ejecuta el programa, con acceso limitado. Usa un gestor de secretos o una variable de entorno: un valor que recibe al ejecutarse. Evita que aparezca en los registros de actividad.
En la conexión
Usa el campo de credenciales. En n8n, configura la clave en el apartado correspondiente al servicio. Un conector es la pieza que enlaza aplicaciones; no escribas el secreto como texto fijo dentro de los pasos del flujo.
En lugares visibles
La clave secreta del proveedor no debe aparecer en código que recibe el navegador o el móvil, repositorios donde se guardan el código y su historial, correos, chats ni capturas de soporte. Un repositorio privado tampoco es un gestor de secretos.
Si la clave aparece en una captura
Revoca la expuesta
Anúlala de inmediato desde el panel del proveedor si sospechas que se ha expuesto. No esperes a encontrar consumo extraño ni mantengas el acceso mientras preparas una sustituta. El flujo puede detenerse. En el ejemplo del distribuidor, las descripciones se preparan manualmente durante esa interrupción. La continuidad del catálogo no exige conservar activa una credencial comprometida.
Revisa la actividad
Comprueba actividad y consumo de la cuenta vinculada para identificar usos que no reconozcas. Que no veas un cargo extraño no permite descartar todos los accesos previos. Si sigue habiendo actividad sospechosa, contacta con soporte. Revocar protege frente a nuevos usos de esa clave; no deshace lo que haya ocurrido ni implica que vayas a recuperar automáticamente los cargos.
Configura otra clave
Guarda la sustituta en el lugar previsto para los secretos y actualiza la conexión afectada. Después atiende las copias expuestas: una captura, un archivo compartido o el historial del repositorio pueden conservar el valor anterior. Eliminarlo del archivo actual es una limpieza distinta de la revocación. No des por invalidada una clave simplemente porque ya no la ves en pantalla.
Prueba la conexión
Comprueba que funciona con la nueva credencial y que el proceso ya no utiliza la anterior. En el flujo del distribuidor de Zaragoza, revisa un borrador antes de reanudar el trabajo. Para pedir ayuda, facilita el mensaje de error y, cuando proceda, el identificador de la petición: la referencia que permite localizar esa solicitud. No adjuntes el valor secreto al explicar el fallo.
Cambiarla por rutina o investigar un fallo
Prepara el relevo cuando no hay sospecha de exposición. En una sustitución programada, crea la nueva credencial, configúrala en la aplicación y comprueba el funcionamiento antes de retirar la anterior. Esa secuencia permite verificar el cambio antes de quitar el acceso que todavía utiliza el programa. Es distinta de la reacción urgente del bloque anterior: no traslades ese orden a una clave que haya quedado visible.
La clave no es un tope de gasto
Una alerta solo avisa. En OpenAI, el límite estricto debe activarse para que se detengan las peticiones afectadas al alcanzar el gasto registrado. Su aplicación puede tener retraso y permitir un pequeño exceso. Acordar un presupuesto no equivale a haber configurado ese corte. Revisa ambos controles con quien lleva la integración y prevé cómo seguirá el trabajo si la API se detiene. La diferencia se amplía en qué es un tope de gasto.
Define el encargo: qué datos entran, qué resultado esperas y qué decisiones necesitan tu aprobación. Acuerda quién custodiará la clave y restablecerá la conexión si se interrumpe. Lleva estas decisiones al encargar una conexión en las automatizaciones de Ciade.
Dudas sobre claves de API, respuestas cortas
¿Tener una clave significa que el consumo está incluido en mi plan de chat?
No. La clave permite identificarte, pero las condiciones del chat y de la API son distintas. Algunos planes de ChatGPT y Claude permiten reclamar créditos API con requisitos y caducidad. Eso no significa consumo ilimitado ni que el saldo se active automáticamente. Comprueba el beneficio de tu plan y la cuenta donde se aplica.
¿Todas las conexiones necesitan una clave propia?
No todas necesitan una clave propia. El método depende del servicio y del conector. n8n Cloud permite usar modelos y servicios compatibles mediante Gateway credits, su saldo para esas conexiones, sin introducir una clave propia. Comprueba qué opción utiliza tu flujo; tener una credencial tampoco sustituye los demás requisitos del proveedor.
¿Basta con borrar la clave del archivo donde apareció?
No. Borrar el valor del archivo actual no invalida la credencial ni elimina las copias o el historial. Si sospechas que ha quedado expuesta, revócala inmediatamente y revisa actividad y consumo. Después configura otra en un lugar seguro. Limpiar los archivos es una tarea distinta de anular el acceso.
¿Un error de conexión significa que me han robado la clave?
No por sí solo. En OpenAI, un error 401 puede indicar un problema de autenticación; un 429, exceso de peticiones, falta de saldo o un límite de gasto. Lee el mensaje concreto antes de cambiar la clave. Repetir la petición indefinidamente no resuelve una credencial revocada ni un saldo agotado.
Fuentes
Fuentes oficiales, consultadas el 4 de noviembre de 2026
- OpenAI · Claves, identidades y permisos
- OpenAI · Autenticación y peticiones
- OpenAI · Tokens y consumo API
- OpenAI · Alertas y límites de gasto
- OpenAI · Códigos de error
- OpenAI · Créditos API para suscriptores
- Anthropic · Acceso a Claude API
- Anthropic · Qué hacer ante una clave expuesta
- Anthropic · Créditos API de planes elegibles
- n8n · Crear y editar credenciales
- n8n · Conectar OpenAI
- GitHub · Retirar secretos de un repositorio
Cómo lo comprobamos. Consulta de fuentes oficiales: 4 de noviembre de 2026. No hemos probado el flujo de descripciones del distribuidor: antes de utilizarlo con tu catálogo, comprueba la conexión y la revisión de los borradores.
Qué ha cambiado.
- 4 de noviembre de 2026: Reescritura con permisos acotados, custodia de credenciales y distinción entre exposición, cambio programado y errores de conexión.
Términos relacionados
Aprende a usar la IA en tu trabajo, con criterio.
El nivel 0 es gratis: cuarenta minutos para entender qué pedirle a la IA y qué revisar. El programa completo enseña a implementarla en tu propio negocio, tarea a tarea.
